Unijny AI Act od sierpnia 2026 roku jest zasadniczo stosowany, a część obowiązków dotyczących przejrzystości weszła w życie właśnie w tym roku. Regulacja obejmuje dostawców i użytkowników systemów AI w różnym zakresie zależnie od poziomu ryzyka.
Unijny Akt o sztucznej inteligencji przestał być wyłącznie zapowiedzią przyszłych regulacji. Od 2 sierpnia 2026 roku zasadnicza część rozporządzenia jest stosowana, choć część przepisów ma późniejsze terminy. Dla firm, instytucji i twórców korzystających z AI oznacza to konieczność sprawdzenia, do jakiej kategorii ryzyka należy używany system i jakie obowiązki z tego wynikają.
AI Act opiera się na podejściu stopniowanym. Inne wymagania dotyczą systemów minimalnego ryzyka, inne rozwiązań wymagających przejrzystości, a jeszcze inne systemów wysokiego ryzyka. Najbardziej niebezpieczne zastosowania są zakazane. Komisja Europejska wskazuje między innymi na określone formy manipulacji, niedozwolonego profilowania oraz część zastosowań biometrycznych.
Co to oznacza w praktyce
Szczególnie istotne dla mediów i użytkowników generatywnej sztucznej inteligencji są obowiązki informacyjne. W określonych sytuacjach odbiorca powinien wiedzieć, że ma do czynienia z systemem AI. Regulacja przewiduje również zasady dotyczące oznaczania części treści syntetycznych, w tym deepfake'ów oraz materiałów generowanych przez AI w określonych kontekstach informacyjnych.
Dla przedsiębiorców ważne jest rozróżnienie między dostawcą systemu a podmiotem, który go wykorzystuje. Zakres odpowiedzialności może być odmienny. Firma korzystająca z gotowego narzędzia nie zawsze ma takie same obowiązki jak twórca modelu, ale nadal może odpowiadać za sposób zastosowania technologii.
AI Act obejmuje również modele ogólnego przeznaczenia. Część zasad dla takich modeli obowiązuje już od 2025 roku. Dostawcy najbardziej zaawansowanych systemów mogą być zobowiązani do dodatkowego zarządzania ryzykiem, dokumentacji i współpracy z organami nadzorczymi.
Nie wszystkie wymagania dotyczące systemów wysokiego ryzyka obowiązują od razu. Po zmianach harmonogramu część z nich ma wejść później, w tym w 2027 i 2028 roku. Dlatego ocena zgodności nie powinna opierać się wyłącznie na ogólnym stwierdzeniu, że „AI Act już obowiązuje”. Liczy się konkretny rodzaj systemu i termin przypisany do danej grupy przepisów.
Dla zwykłego użytkownika najważniejsza zmiana będzie widoczna w większej liczbie informacji o pochodzeniu treści i sposobie działania narzędzi. Dla firm oznacza to natomiast potrzebę uporządkowania dokumentacji, procedur oraz zasad korzystania z generatywnej AI przez pracowników.
Wdrożenie rozporządzenia będzie procesem wieloletnim. Już teraz jednak ignorowanie nowych obowiązków informacyjnych może tworzyć ryzyko prawne i reputacyjne, zwłaszcza w podmiotach wykorzystujących AI w komunikacji z klientami lub opinią publiczną.
W praktyce firmy powinny zacząć od prostego audytu używanych narzędzi. Warto spisać, gdzie AI wspiera rekrutację, obsługę klienta, analizę danych, tworzenie treści albo podejmowanie decyzji. Dopiero później można przypisać poszczególnym zastosowaniom właściwy poziom ryzyka i ustalić, jakie procedury są potrzebne. Bez takiej mapy organizacja może nie wiedzieć, że konkretne zastosowanie podlega dodatkowym obowiązkom.
Dla redakcji i wydawców szczególnie ważna jest kwestia materiałów syntetycznych. Nie każde użycie AI będzie wymagało takiego samego oznaczenia, ale publikowanie treści, które mogą wprowadzać odbiorcę w błąd co do ich pochodzenia, staje się obszarem coraz większego ryzyka. Transparentność ma znaczenie również reputacyjne: odbiorca powinien rozumieć, kiedy patrzy na materiał dokumentalny, a kiedy na treść stworzoną lub istotnie zmodyfikowaną przez system generatywny.
Małe firmy nie powinny zakładać, że regulacja dotyczy wyłącznie największych dostawców technologii. Jeżeli przedsiębiorstwo wykorzystuje AI do oceny kandydatów, profilowania klientów albo automatyzacji decyzji mających realny wpływ na ludzi, powinno przynajmniej sprawdzić swoją sytuację prawną. W wielu przypadkach najważniejszym pierwszym krokiem nie będzie skomplikowana dokumentacja, lecz ustalenie, jakie narzędzia są faktycznie używane i kto odpowiada za ich nadzór.
Duże znaczenie będzie miała także polityka wewnętrzna organizacji. Samo kupienie bezpiecznego narzędzia nie wystarcza, jeśli pracownicy wprowadzają do niego dane, których nie powinni udostępniać albo wykorzystują wyniki modelu bez kontroli człowieka. Dlatego część firm tworzy wewnętrzne zasady korzystania z AI, określając, jakie dane wolno przetwarzać i które narzędzia są zatwierdzone.
Duże znaczenie będzie miała także polityka wewnętrzna organizacji. Samo kupienie bezpiecznego narzędzia nie wystarcza, jeśli pracownicy wprowadzają do niego dane, których nie powinni udostępniać albo wykorzystują wyniki modelu bez kontroli człowieka. Dlatego część firm tworzy wewnętrzne zasady korzystania z AI, określając, jakie dane wolno przetwarzać i które narzędzia są zatwierdzone.
Duże znaczenie będzie miała także polityka wewnętrzna organizacji. Samo kupienie bezpiecznego narzędzia nie wystarcza, jeśli pracownicy wprowadzają do niego dane, których nie powinni udostępniać albo wykorzystują wyniki modelu bez kontroli człowieka. Dlatego część firm tworzy wewnętrzne zasady korzystania z AI, określając, jakie dane wolno przetwarzać i które narzędzia są zatwierdzone.
Źródła
Komisja Europejska: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
Źródło uzupełniające: https://cyprus.representation.ec.europa.eu/news/commission-welcomes-political-agreement-artificial-intelligence-act-2023-12-09_en